Netskope を使って、SaaS の利用をユーザベースで制御する

テクノロジー

Netskope を使って、特定の SaaS の利用をユーザベースで制御する

 

最近 Netskope を使う機会があり、設定を色々試しています。

Netskope は CASB（Cloud Access Security Broker）と呼ばれるセキュリティソリューションのひとつです。

https://www.netskope.com/products/casb

 

今回は、特定のクラウドサービスに対して、指定したドメインのユーザだけを利用許可するための設定を紹介します。

例えば、企業の開発端末などに適用するセキュリティポリシとして、企業のドメインのユーザでのみ Gmail の利用を許可し、その他のドメイン（例えば個人利用）のユーザでは Gmail の利用を制限したい、といったユースケースに利用できます。

宛先 URL や送信元 IP アドレスに基づく単純なフィルタリングでは、利用するユーザに応じてクラウドサービスの利用を制限することは困難な場合が多く、こうしたクラウドサービスへのきめ細かいアクセス制御が求められる状況において Netskope が活躍します。

 

以下では、前述の例をとり、指定したドメイン（@hoge.com）の Google アカウントにのみ Gmail の利用を許可するための設定手順を示します。

動作を確認した Netskope のバージョンは 74.0.0.347 です。

 

設定手順

  1. Home > Policies > Profiles > Constraints のメニューを開き、”New User Constraint Profile” をクリック（新しい Constraint を作成）します。

  2. User Constraint Profile の新規作成画面が表示されたら、適当なプロファイル名を入力し、”EMAILS” を次の通り設定します。
    - プルダウンメニューで “DOES NOT MATCH” を選択する
    - アドレス入力欄に “*.@hoge.com” を入力する

    User Constraint Profile では上記のように正規表現を利用したマッチングが可能となっています。
    入力が完了したら “SAVE CONSTRAINT PROFILE” をクリックすると「hoge.com 以外の Email アドレス にマッチするプロファイル」が作成されます。

  3. 新規プロファイルの作成に成功していれば、Constraints メニューの “APPLY CHANGES” ボタンが活性化しているはずです。これをクリックして変更理由を記入し、”APPLY” ボタンをクリックして変更を適用します。

  4. 次に、作成したプロファイルを Gmail へのアクセス制御設定と関連付けしてゆきます。
    Home > Policies > Real-time Protection のメニューを開き、”NEW POLICY” をクリックして次のとおりポリシを設定します。
    - Cloud Apps + Web: Google Gmail
    - Select Activities:
         Activities: Select All
         Constraint (From User): 1. で作成した Profile を指定
         Constraint (To User): No constraints
         Action: Block
    その他の項目は適当なものを設定し、 “SAVE”  をクリックすると新規ポリシが作成されます。

  5. 新規ポリシの作成に成功していれば、Real-time Protection メニューの “APPLY CHANGES” ボタンが活性化しているはずです。これをクリックして変更理由を記入し、”APPLY” ボタンをクリックして変更を適用します。

  6. 以上で設定は完了です。エージェントへのポリシ配信に数分程度時間を要する場合があるため、一定時間待ってから、設定が想定どおりのものとなっているか確認してみてください。ポリシが正しく適用されていれば、hoge.com ドメインの Google アカウントでのみ Gmail が利用できるようになっているはずです。


今回は、Gmail を例に設定方法を紹介しましたが、ユーザのドメインを限定したクラウドサービスへのアクセスはいずれも上記とほぼ同じ手順で設定可能です。

 

補足

  • 手順 6. で hoge.com以外の Google アカウントが Gmail へのログインを試みると、ログインプロセスまではブロックされずに進めることができます（ログインに成功した後、Gmail の受信トレイは表示できずにブロックされるはずです）。これは Netskope の Real-time Protection において、Gmail の Activities にログインを特定するメニューがないためです。ログインに成功しても何も見れないので実害はありませんが、ログインそのものは上記設定では禁止できません。

  • プロファイル名やポリシ名に.(ドット) が使用できないため、ドメインをプロファイル名やポリシ名に記載したい場合は別の特殊文字で代替する必要があります（ドットの代わりにアンダーバーを使う、など）